Alla fine, puoi firmare chiunque tu voglia . Non c'è nessuno che ti controlli e niente che controlli cosa stai facendo (e come lo stai facendo)

Considererei valida la firma di una nota persona (per me) valida, se posso essere sicuro di ricevere la sua chiave non controllata su un canale sicuro. Se sei assolutamente sicuro di essere in grado di riconoscere la sua voce o di fare un altro controllo, è la persona giusta (ad esempio, ponendo solo le domande che è in grado di rispondere al telefono), mi piacerebbe firmare una chiave questa persona mi manda su questa connessione affidabile stabilita (ad esempio, parlando al telefono). Non mi andrebbe bene firmando una chiave trovata su un server delle chiavi (tutti possono caricare le chiavi per UID arbitrari, dare un'occhiata a chiavi del presidente ) o ricevuti in una e-mail senza segno (senza firma da un'altra chiave già fidata)

Fidati dell'identità

Quando dai un "sig3" alla chiave del tuo amico usando il comando gpg sign , dichiari di essere (abbastanza) sicuro di essere davvero la persona che finge di usare i suoi UID. Quando il manutentore Debian firma la tua chiave, sta certificando che tu sei la persona che stai fingendo di essere.

Questo è tutto per ora. Né tu né il maintainer di Debian avete fatto alcuna dichiarazione se hanno fiducia nelle vostre capacità (o nei vostri amici) di eseguire con cura le registrazioni delle chiavi.

La norma sulla firma che hai menzionato può aiutare gli altri a decidere come mettere fiducia nelle firme che hai pubblicato.

Fiducia nelle capacità e nelle motivazioni della persona ("Garantire")

Se sei sicuro che il tuo amico è in grado di firmare in modo affidabile altre chiavi, puoi mettere un altro tipo di fiducia sulla sua chiave usando gpg trust . Usando questo, puoi ordinare a GnuPG di considerare le firme emesse dal tuo amico come se fossero emesse da te.

Questa informazione è valida solo per te stesso; non è né incluso nei keyserver né in altre chiavi esportate:

A key's trust level is something that you alone assign to the key, and it is considered private information. It is not packaged with the key when it is exported; it is even stored separately from your keyrings in a separate database. (from the GnuPG manual)

Avere (più) percorsi di fiducia ("firme di identità", il tipo di fiducia che ho spiegato prima in questa risposta) ad alcuni sconosciuti può essere letto come suggerimento tutto dovrebbe andare bene, ma ricordati di te " Mi sto fidando di tutti nella catena di fiducia in questo momento. La maggior parte delle persone è onesta e capace di eseguire firme valide, ma non sei mai stato percepito da qualcuno di cui non te l'aspettavi? Se qualcuno ha davvero una ragione per frodare te, potrebbe essere in grado di ottenere in qualche modo una catena di fiducia su alcuni percorsi bizzarri.

C'è un eccellente articolo sulla fiducia in OpenPGP: C'è fiducia e quindi c'è fiducia e poi c'è fiducia .

Se non ti conosco in anticipo, allora che senso ha, per me, essere abbastanza sicuro che comunico con il tuo vero ? Per quel che ne so, non posso essere certo che tu esista affatto e la tua esistenza rimarrà irrilevante per me finché non interagirai con me.

Questo è il principale, grande e sfacciato fallimento della Web of Trust di PGP: cerca di assicurare un strong collegamento delle chiavi pubbliche alle identità, senza preoccuparsi di definire prima una nozione coerente di "identità".

Per esempio, proprio ora, proprio da questo messaggio, comincio a interagire con ciò che posso assumere (plausibilmente) un essere senziente (presunto umano, quindi) che in qualche modo ha scelto, per quell'unica domanda, di andare sotto lo pseudonimo di "Diti" e una faccia che sembra vagamente come un'anatra. Se voglio scambiare email confidenziali con quell'entità umana, allora vorrò mandare i messaggi a "Diti che ha scritto quella domanda specifica in security.SE". Questo è la nozione di identità che vorrei utilizzare. La firma delle chiavi di PGP collegherebbe alcune chiavi pubbliche, che non conosco in anticipo, agli indirizzi email, che non conosco neanche io! Per essere efficaci, le persone che "firmano le chiavi" dovrebbero firmare dichiarazioni come: "Io, [email protected], garantisco che la chiave pubblica 0xA7C083FE appartiene davvero al ragazzo (o alla ragazza) che ha scritto 'Va bene firmare un Chiave PGP senza una riunione IRL? ' domanda su security.SE su My 9th, 2013 ".

Puoi incontrare tutti i Bob sulla Terra e far firmare loro tutti la tua chiave, con i più alti "livelli di controllo", non mi darà alcuna informazione utile. Il collegamento della tua chiave privata al tuo nome o indirizzo e-mail non ha alcun significato per me, a meno che non ti conosca già per qualche altro motivo - a quel punto il WoT con il suo incatenamento automatico attraverso completi estranei perde ogni rilevanza.

C'è un altro aspetto della stessa domanda: perché vorresti garantire, con una forza così implacabile, che una determinata chiave pubblica è davvero tua? Se funziona, renderà tutti i tuoi messaggi firmati rintracciabili e utilizzabili come prove contro di te . È come portare la tua pala in un cimitero.

Nel caso delle firme digitali , nessuno nel suo stato d'animo giusto dovrebbe perseguire attivamente la possibilità di produrre firme. Quello che vogliamo è altre persone per generare firme.

Pertanto, la mia risposta è che puoi firmare le chiavi con qualsiasi "livello di politica" desideri; non spezzerà il Web of Trust di PGP perché non c'è nulla che rompa effettivamente .

(Che è una specie di benedizione.) Un mondo in cui funziona la Web of Trust di PGP è un mondo in cui ognuno è identificato in modo univoco, individuato nello spazio e nel tempo e globalmente responsabile. Quando ci si avvicina, sarebbe abbastanza a href="http://en.wikipedia.org/wiki/Nineteen_Eighty-Four"> Orwellian , ovvero fantastico ma spaventoso.)

Il fatto è che la rete di fiducia non è terrificabilmente sicura. La stragrande maggioranza delle persone che eseguono il keynote lo fanno basandosi su uno sguardo abbastanza superficiale sull'ID della persona. Ottieni un passaporto falso abbastanza convincente e potresti facilmente ottenere le firme con qualsiasi nome tu voglia.

Rispetto a quello che ho conosciuto qualcuno per anni sembra sicuro positivamente.

Quello che vuoi fare è assicurarti che la persona che fa la richiesta sia chi tu pensi che sia. Se si tratta di qualcuno che conosci bene personalmente, farti leggere l'impronta digitale al telefono è probabilmente ragionevole oltre a qualsiasi controllo online. Ciò aiuta a verificare che sia davvero la persona che conosci e non solo qualcuno che ha rubato le credenziali dell'account.

IMO la cosa principale che la rete di fiducia è proteggere da "internet fuckwads".